セキュリティ欠陥とバグを修正したgtk2のアップデートパッケージ
| アドバイスID: | RHSA-2004:466-12 |
| 最終更新日: | 2004-09-15 |
| 影響のあるプロダクト: |
Red Hat Desktop (v. 3) Red Hat Enterprise Linux AS (v. 3) Red Hat Enterprise Linux ES (v. 3) Red Hat Enterprise Linux WS (v. 3) |
| CVEs (cve.mitre.org): |
CAN-2004-0753 CAN-2004-0782 CAN-2004-0783 CAN-2004-0788 |
 |
セキュリティ・アドバイス |
概要:
複数のセキュリティ欠陥とバグを修正したgtk2のアップデートパッケージが利用可能になりました。
gtk2パッケージには、GIMP ToolKit（GTK+）、つまりX Window Systemのグラフィカルユーザインタフェース（GUI）用のライブラリが含まれています。
以前に修正したQtの欠陥（CAN-2004-0691）のテスト中に、gtk2のBMP画像プロセッサに欠陥が発見されました。攻撃者が巧妙に作成したBMPファイルを利用し、そのファイルを開いたときにアプリケーションを無限ループに入れてユーザ入力に応答しないようにさせることができます。「Common Vulnerabilities and Exposures」プロジェクト（cve.mitre.org）により、この問題はCAN-2004-0753と命名されています。
セキュリティの監査中に、XPM画像デコーダに1件のスタックオーバーフローと1件のヒープオーバーフローをChris Evans氏が発見しました。巧妙に作成したXPMファイルを利用してgtk2にリンクされているアプリケーションを開いたときにそのアプリケーションをクラッシュさせたり任意のコードを実行させたりできます（CAN-2004-0782、CAN-2004-0783）。
また、ICO画像デコーダに1件の整数オーバーフローがあることもChris Evansは発見しました。巧妙に作成したICOファイルを利用し、gtk2にリンクされているアプリケーションを開いたときにそのアプリケーションをクラッシュさせることができます（CAN-2004-0788）。
今回のgtk2のアップデートパッケージでは、Hummingbird、ReflectionX、X-Win32などのさまざまなXサーバ上で発生するいくつかのキーの組み合せのバグも修正されています。サーバがスイスドイツ語、スイスフランス語、またはフランス語（標準）キーボード配列の使用を設定した場合、Mode_Switchedの文字をGTKベースのアプリケーションに入力できなくなりました。
gtk2のユーザは、これらの問題に対して脆弱性のないバックポートパッチを含んだ上記アップデートパッケージにアップグレードすることをお勧めします。
アップデート・パッケージ:
| Red Hat Desktop (v. 3) | |
| AMD64: | |
| gtk2-2.2.4-8.1.x86_64.rpm | 7c5c8d7447e340310576c2909985268c |
| gtk2-devel-2.2.4-8.1.x86_64.rpm | 8ebd7aea9fe419a1e60c1405fae01f5a |
| SRPMS: | |
| gtk2-2.2.4-8.1.src.rpm | 6ac62a2aeab6c7a99ff4b3a657530f89 |
| i386: | |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| gtk2-devel-2.2.4-8.1.i386.rpm | 2d0c1fe11fc0a9a165debb0cbac24b4e |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| Red Hat Enterprise Linux AS (v. 3) | |
| AMD64: | |
| gtk2-2.2.4-8.1.x86_64.rpm | 7c5c8d7447e340310576c2909985268c |
| gtk2-devel-2.2.4-8.1.x86_64.rpm | 8ebd7aea9fe419a1e60c1405fae01f5a |
| SRPMS: | |
| gtk2-2.2.4-8.1.src.rpm | 6ac62a2aeab6c7a99ff4b3a657530f89 |
| i386: | |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| gtk2-devel-2.2.4-8.1.i386.rpm | 2d0c1fe11fc0a9a165debb0cbac24b4e |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| ia64: | |
| gtk2-2.2.4-8.1.ia64.rpm | b3b57ef2a9b4c577cad9639fd194db14 |
| gtk2-devel-2.2.4-8.1.ia64.rpm | cf89006e9943f4b23aeb7a410c91c542 |
| ppc: | |
| gtk2-2.2.4-8.1.ppc.rpm | 766df9da1dca48a5f110dc96b9c29015 |
| gtk2-devel-2.2.4-8.1.ppc.rpm | eadbbab509000019eae608a8748cfbde |
| s390: | |
| gtk2-2.2.4-8.1.s390.rpm | a3692edac044b25e4c8c2012437888e7 |
| gtk2-devel-2.2.4-8.1.s390.rpm | f1821966b229cd61264b9af61fafdb88 |
| s390x: | |
| gtk2-2.2.4-8.1.s390x.rpm | e45909f903fc90707ef451051d31853c |
| gtk2-devel-2.2.4-8.1.s390x.rpm | 4190a6fdeed17fe104def7551c1ea51e |
| Red Hat Enterprise Linux ES (v. 3) | |
| AMD64: | |
| gtk2-2.2.4-8.1.x86_64.rpm | 7c5c8d7447e340310576c2909985268c |
| gtk2-devel-2.2.4-8.1.x86_64.rpm | 8ebd7aea9fe419a1e60c1405fae01f5a |
| SRPMS: | |
| gtk2-2.2.4-8.1.src.rpm | 6ac62a2aeab6c7a99ff4b3a657530f89 |
| i386: | |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| gtk2-devel-2.2.4-8.1.i386.rpm | 2d0c1fe11fc0a9a165debb0cbac24b4e |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| ia64: | |
| gtk2-2.2.4-8.1.ia64.rpm | b3b57ef2a9b4c577cad9639fd194db14 |
| gtk2-devel-2.2.4-8.1.ia64.rpm | cf89006e9943f4b23aeb7a410c91c542 |
| Red Hat Enterprise Linux WS (v. 3) | |
| AMD64: | |
| gtk2-2.2.4-8.1.x86_64.rpm | 7c5c8d7447e340310576c2909985268c |
| gtk2-devel-2.2.4-8.1.x86_64.rpm | 8ebd7aea9fe419a1e60c1405fae01f5a |
| SRPMS: | |
| gtk2-2.2.4-8.1.src.rpm | 6ac62a2aeab6c7a99ff4b3a657530f89 |
| i386: | |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| gtk2-devel-2.2.4-8.1.i386.rpm | 2d0c1fe11fc0a9a165debb0cbac24b4e |
| gtk2-2.2.4-8.1.i386.rpm | 37607c300bef5d9dd9858474031f582c |
| ia64: | |
| gtk2-2.2.4-8.1.ia64.rpm | b3b57ef2a9b4c577cad9639fd194db14 |
| gtk2-devel-2.2.4-8.1.ia64.rpm | cf89006e9943f4b23aeb7a410c91c542 |
| (The unlinked packages above are only available from the Red Hat Network) | |
解決法:
このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください： rpm -Fvh [filename] [filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、 ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。 up2date このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。
バグジラ: (詳細は、こちらbugzilla[英語]を御覧ください。)
130450 - CAN-2004-0753 bmp image loader DOS
参照:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0753
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0782
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0783
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0788
http://bugzilla.gnome.org/show_bug.cgi?id=150601
http://bugzilla.gnome.org/show_bug.cgi?id=144808
ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html
各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。
Copyright © 2008 Red Hat, Inc. All rights reserved.
プライバシー ステートメント :
リーガル ステートメント/利用条件 :
特許に関する見解と約束 :
各種お問い合わせ